Open Web / Safe Bank

Kazian 님께서 댓글로 문의하신 내용은 많은 분들께서 궁금해 하시는 것이라는 생각이 들어, 별도의 글로 적습니다.

질문의 요지는 “은행이 제공하는 보안 프로그램을 사용하지 않고 개인 보안 프로그램을 사용하다가 보안 사고가 발생했을 시 책임 주체는 은행인가, 고객인가?” 라는 것입니다.

제가 가진 법률지식 범위 내에서 말씀드리면 다음과 같습니다.

전자금융거래에서 발생한 사고로 고객에게 손해가 생긴 경우, 개인 고객인 경우에는 금융기관이 그 고객에게 “고의나 중대한 과실”이 있다는 점을 입증하면, 금융기관이 배상책임을 면하고, 그렇지 않으면 금융기관이 배상해야 합니다.

실제로 고의나 중대한 과실은 무한히 다양한 형태, 유형으로 저질러질 수 있으나, 그 모든 경우에 금융기관이 배상책임을 면하는 것은 아닙니다. 금융기관을 면책시키는 고객의 고의나 중대한 과실은 i) 접근매체(인증서/보안카드 등)를 고객이 제3자에게 제공하거나, ii) 해커가 고객의 접근매체를 입수하여 거래를 할 수 있는 상황이라는 것을 고객이 “쉽게 알 수 있었음에도” 자신의 접근매체를 누설, 노출, 방치한 경우에 한하며, 이런 내용이 은행과 고객 간의 전자금융거래 약관에 미리 기재되어 있어야 합니다.

이상은 관련 규정에 적힌 내용입니다.

질문하신 분이 실제로 궁금해 하시는 내용은 “금융기관이 제공하는 보안프로그램을 설치하지 않는 행위”가 과연 위 ii)에서 말하는 “중대한 과실”에 해당하는가? 라는 것이겠지요.

설치하지 않으면 무조건 “중대한 과실”이라는 주장을 은행이 제기하기는 하겠지만, 성공 가능성은 높지 않습니다. 이미 자신이 다른 수단으로 자기 컴퓨터를 안전하게 관리하고 있기 때문에 그런 프로그램을 중복하여 설치할 필요가 없어서 설치하지 않은 경우라면 “중대한 과실”은 커녕, 경미한 과실도 있다고 보기 어려울 것입니다.

물론, 금융기관이 제공하는 보안 프로그램이 “탁월한 성능”을 가진 불세출의 “명품” 프로그램이라면 이야기가 달라지겠으나, 저급한 판촉물 수준의 “공짜 샘플 프로그램”에 불과하다면, 이런 프로그램을 설치해 놓고 평소 다른 웹사이트에 방문했을 때 보안경고창에서 마구 ‘예’를 눌러댄 이용자라면 (중대한) 과실이 있다고 인정될 여지가 있습니다.

그러나, 금융기관이 지금껏 제공한 보안프로그램은 웹브라우저 플러그인 형태로 구동되는 것이므로, 평소 다른 웹사이트에 방문할 때는 작동조차 하지 않습니다. 따라서 이들 보안 프로그램은 고객이 자기 컴퓨터를 주의깊게 관리하는지 여부를 판단하는데는 별다른 기술적 관련성도 없습니다. 그 이유는 다음과 같습니다:

• 금융기관 사이트로부터 직접 해킹을 당하는 이용자는 없고, 해킹은 다른 웹사이트에 접속하거나, 이메일 등으로 전달되는 파일에 숨겨진 악성프로그램을 통하여 이루어집니다.
• 그러나 다른 웹사이트에 접속해 있거나, USB memory stick 이나 이메일 프로그램등을 사용하는 동안에는 금융기관이 주는 보안프로그램은 애초에 작동하지도 않게 되어 있습니다. 금융기관이 주는 프로그램은 금융기관 사이트에 접속해 있는 동안에만 작동하도록 설계된 것입니다.

따라서, 금융기관이 주는 보안프로그램을 설치했는지 여부가 금융사고 발생 시에 배상책임을 누가 지는지를 결정하는 것은 아닙니다. 그걸 설치한다고 해서 과실이 없어지는 것도 아니고, 설치 안한다고 해서 과실이 있게 되는 것도 아닙니다.

금융기관이 이용자에게 “설치하지 않을 경우 모든 책임을 이용자가 지겠다”고 서약하게 하거나, 그런 내용을 아예 약관에 규정하고 있을 경우, 그것은 법적인 효력이 있는가? 라는 의문을 가지시는 분도 있을 것입니다. 그런 서약이나, 약관 규정은 효력이 없습니다.

약관은 사업자가 일방적으로 마련하는 것입니다. 그 약관이 효력을 인정받으려면, 법령에 어긋나지 않아야 하고, 고객에게 책임을 부당하게 전가하는 내용이 없어야 하며, 합리적이어야 합니다(약관 규제법). 전자금융거래법은 이미 고객이 어떤 경우에 책임을 져야하는지를 규정하고 있습니다(위에서 설명드린 내용이 바로 그것입니다). 이 법규정보다 고객에게 더 불리한 내용의 약관은 무효입니다.

개별 약정의 경우에는 조금 다르게 평가해야 하지만, 모든 책임을 지겠다는 별도 약정을 일방적으로 요구하고, 그 별도 약정을 하지 않으면 거래를 거부하는 상황이라면, 그런 약정 또한 아무 효력이 없습니다.

전자금융 감독규정 시행세칙은 “고객의 책임으로 본인이 동의하는 경우에는 보안프로그램 해제 가능”이라는 단서 조항을 포함하고 있는데, 이 조항 역시 위에 설명한 전자금융거래법 규정에 어긋나는 한도에서는 효력이 없습니다. 금감원이 시행세칙을 만들 수 있는 권한은 국회가 부여한 것입니다. 금감원은 국회가 제정한 법률(상위법)에 어긋 나는 내용을 시행세칙으로 정하여 상위법을 뒤집을 수는 없습니다. 물론, 국회가 요즘 워낙 “개판”이니까, 금감원이 국회를 마구 무시하고 시행세칙으로 법률을 바꿀 수 있다는 생각도 들겠지만, 그런 말을 법원에서 하기는 좀 그렇지요…

은행이, “우리가 주는 보안프로그램을 설치/이용하기만 하면 모든 책임을 우리가 지겠다”고 약관에 규정하거나, 개별 약정을 할 경우, 그러한 약정은 효력이 인정될 것입니다. 고객에게 불리하지 않다고 평가될 여지가 많기 때문입니다. 그러나, 은행은 그런 약속을 한적도 없고, 하지도 않습니다. 따라서, 사고가 터지면, 고객이 보안프로그램을 설치/이용했건 안했건, 은행은 일단 책임을 무조건 부인합니다. 그 대표적 사례는 여기. “우리는 보안프로그램을 설치하라고만 했지, 책임을 지겠다고 한적은 없다”는 것입니다. 누구 책임인지는 따져봐야 안다는 것입니다(법률가들이 원래 이런 측면이 있습니다).

따라서, 법률상으로는 “보안프로그램 설치 여부”가 배상책임의 소재를 결정짓는 것은 아닙니다. 이 규정은 그동안 몇몇 국내 보안업체들이 금융기관들을 상대로 “땅짚고 헤엄치기” 장사를 할 수 있도록 하고(은행을 통하여 자기 브랜드를 선전하는 판촉 샘플을 뿌리면서 은행으로부터 돈을 받아 챙기는 신나는 구도입니다), 세계적 수준의 제대로 된 보안 업체들이 한국 시장에 아예 발을 못붙이게 진입장벽을 만드는 용도로 사용되어 온 것입니다.

그리고 많은 고객들이 “공짜 샘플 프로그램” 몇개를 설치해 두고는 마치 “예방 주사”를 맞은 것처럼 착각하게 만들 뿐 아니라, 고객들에게 “보안경고창이 나타나면 반드시 예”하도록 반복 학습/세뇌 시킴으로써 바이러스가 창궐하는데 이상적인 환경을 만들어 왔습니다(의도하였건, 아니건).

바이러스를 “예방”하는 프로그램은 없습니다; 이미 감염된 경우에, 그것도 널리 알려진 바이러스 프로그램만을 검색하여 제거하는 것이 안티바이러스 프로그램입니다. 따라서 “백신(vaccine)”이라는 말은 사기(fraud)입니다. 면역력을 주는 것이 아니기 때문입니다. 여기 참조. 정확하고 정직하게 표현하면, 이용자 컴퓨터에 혹시 널리 알려진 바이러스가 있는지를 스캔하는 프로그램입니다. 알려지지 않은 바이러스? 많은지 적은지는 아무도 모르겠지요, 알려지지 않았으니. 함부로 “예”하지 않는 것만이 올바른 컴퓨터 관리법입니다.

진정으로 바이러스 확산을 막고 싶으면, 이용자들이 본격적인 안티바이러스 소프트웨어를 스스로 선택하여 내려받을 수 있도록 일목요연한 링크를 이렇게 제시하면 됩니다. 금융사이트에 접속해 있는 동안만 실행되고, 그 사이트를 벗어나는 순간 아무것도 모르는 이용자를 무방비 상태로 빠뜨리는 괴상망측한 프로그램을 강제 설치하면서, 보안경고창이 나타나면 “예”를 눌러 없애라는 식으로 안내하지 마십시오. 도대체 어쩌려고 그러셨습니까?

참고 글: “인터넷 뱅킹 사고를 막을 수 있는 최선의 방법” — http://skysummer.com

태그: 감독규정, 금감원, 금융감독원, 바이러스, 백신프로그램, 보안, 보안 프로그램, 보안경고창, 불공정거래, 불매운동, 안철수, 안철수 연구소, 안티바이러스, 약관규제법, 온라인 뱅킹, 은행, 전자금융, 전자금융거래법

트랙백.